Skip to content
CVE-2025-24813进阶
Apache Tomcat PUT 上传配合 Session 反序列化远程代码执行
Tomcat 同时开启 PUT 写入（readonly=false）和会话落盘（PersistentManager + FileStore）时，攻击者可通过带 Content-Range 的部分 PUT 请求，将恶意序列化数据写入会话目录，再以伪造的 JSESSIONID 触发反序列化，实现远程代码执行直至 GetShell。
组件Apache Tomcat
漏洞类型反序列化 / 文件上传
攻击前提readonly=false + PersistentManager
危害等级高危（RCE）
前置知识点
本页漏洞的基本信息与知识点标题公开；前置知识正文、detect / docker / poc 逐行详解与手工 GetShell 全流程已收录于付费知识星球，与 B 站视频、L1 资料包一一对应。 去星球查看
P1Tomcat 架构与 DefaultServlet 处理机制P2Session 会话管理与 JSESSIONID 工作原理P3Java 序列化与反序列化基础P4Gadget 链原理：CommonsCollections6 详解P5PUT 请求与 Content-Range 断点续传机制P6Runtime.exec 与 Shell 解析的差异
实验环境与复现流程
Step 1搭建实验环境（docker-compose 一键拉起）
用 L1 资料包内的 docker-compose.yml 一键启动靶场，镜像走腾讯云 TCR，国内拉取不超时。
L1 资料包已含星球内看逐行详解 →
配套学习资源
学完你能掌握
1
两个"图方便"的配置如何组合成致命漏洞，理解配置安全的重要性
2
Content-Range 部分 PUT 的临时文件机制，以及路径斜杠变点的利用原理
3
CommonsCollections6 Gadget 链的完整调用链与触发条件
4
Runtime.exec 不经过 Shell 解析的坑，以及两阶段反弹 Shell 的正确姿势